PT-2021-23203 · Pomerium · Pomerium

Travisgroth · Publicado 2021-11-05 · Atualizado 2022-01-14 · CVE-2021-41230

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.5

Média

Vetor base

AV:N/AC:L/Au:S/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Versões do Pomerium anteriores à 0.15.6

Descrição

O Pomerium é um proxy de acesso com reconhecimento de identidade de código aberto. Alterações nas reivindicações OIDC de um usuário após o login inicial não são refletidas na avaliação da política quando se usa allowed idp claims como parte da política. Se estiver usando allowed idp claims e as reivindicações de um usuário forem alteradas, o Pomerium pode tomar decisões de autorização incorretas.

Recomendações

Para versões anteriores à 0.15.6, atualize para a versão 0.15.6 para resolver o problema.

Como solução alternativa temporária para usuários que não podem atualizar, limpe os dados no serviço databroker limpando o Redis ou reiniciando o databroker na memória para forçar a atualização das reivindicações.

Correção

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2021-41230

GHSA-J6WP-3859-VXFG

GO-2021-0258

Produtos afetados

Pomerium

Referências · 11

• https://github.com/pomerium/pomerium/pull/2724 · Correção
• https://github.com/pomerium/pomerium/security/advisories/GHSA-j6wp-3859-vxfg · Nota
• https://github.com/pomerium/pomerium/commit/f20542c4bf2cc691e4c324f7ec79e02e46d95511 · Nota
• https://github.com/pomerium/pomerium · Nota
• https://pkg.go.dev/vuln/GO-2021-0258 · Nota
• https://osv.dev/vulnerability/GO-2021-0258 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-41230 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41230 · Aviso do Fabricante
• https://t.me/cvenotify/23086 · Publicação no Telegram
• https://t.me/cibsecurity/31921 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-j6wp-3859-vxfg · Aviso do Fabricante